JP6119584B2 - 電池制御装置 - Google Patents

Description

本発明は、複数の蓄電池と、これら各蓄電池の導通及び遮断を切り替える複数のスイッチ部とを備える車載電源システムに適用される電池制御装置に関する。

従来から、例えば鉛蓄電池やリチウムイオン蓄電池よりなり互いに並列に接続される複数の蓄電池と、それら両蓄電池を充電する発電機と、両蓄電池を電気的に接続する給電線に設けられる半導体スイッチング素子（ＭＯＳＦＥＴ）とを備え、各蓄電池の蓄電状態等に応じて半導体スイッチング素子のオンオフを制御するようにした電源システムが提案されている（例えば特許文献１参照）。この電源システムでは、上記の各蓄電池を好適に使い分けることにより、車両における省燃費効果や蓄電池の保護効果等が得られるものとなっている。

また一方で、車載電子機器における機能安全が各種の規格などに応じて求められており、上記電源システムを管理する電池制御装置においても機能安全の要求が課せられるようになっている。例えば、機能安全規格としてＩＳＯ２６２６２に規定されたＡＳＩＬ（Automotive Safety Integrity Level）に基づくものが知られている。

特開２０１１−２３４４７９号公報

ところで、上記電源システムでは、蓄電池にて生じうる各種の異常を監視することが要求され、電池制御装置においては、半導体スイッチング素子を制御するための制御機能の他に、蓄電池における異常監視の機能が必要となる。この場合、電池制御装置においてマイクロコンピュータ機能の多様化がなされると、そのマイクロコンピュータに対する機能安全の要求が必然的に高くなる。そのため、マイクロコンピュータの設計の難度が上がり、ひいては開発期間の長期化やコスト上昇などの不都合が生じることが懸念される。それゆえ、機能安全の要求に応えつつも設計難度の増加等が生じないようにすべく、技術改善の余地があると考えられる。

本発明は、機能安全の要求に応えつつも、設計難度が増加する等の不都合を抑制することができる電池制御装置を提供することを主たる目的とするものである。

以下、上記課題を解決するための手段、及びその作用効果について説明する。

本発明の電池制御装置は、互いに並列接続される第１蓄電池（１２）及び第２蓄電池（１３）と、それら両蓄電池を電気的に接続する配線部（１７）に直列に設けられた第１スイッチ部（２１）及び第２スイッチ部（２２）とを有し、前記各スイッチ部の開閉に応じて、前記各蓄電池のいずれが充電装置（１１）からの電力供給により充電されるか、及び前記各蓄電池のいずれの蓄電電力により電気負荷（１４〜１６）が駆動されるかが切り替え可能になっている車載電源システムに適用される。そして、前記各スイッチ部の駆動を制御するマイクロコンピュータ（３１）と、前記マイクロコンピュータからの信号入力が可能であり、前記第１蓄電池及び前記第２蓄電池の少なくとも一方についてあらかじめ定められた安全性要求に関する監視を実施するとともに、その監視結果がフェイル結果である場合に前記各スイッチ部に対して所定のフェイルセーフ駆動信号を出力する論理回路部（３４，３５）と、を備えている。

電池制御装置において各スイッチ部の切り替え制御の機能や異常監視の機能が具備される場合には、その機能の多様化に伴い、機能安全規格における目標値（ハザードに対する目標故障率）が高くなり、高い安全性（高ＡＳＩＬ）が要求されることが考えられる。この点、上記構成では、マイクロコンピュータの外付けで論理回路部を設け、その論理回路部により、第１蓄電池及び第２蓄電池の少なくとも一方についてあらかじめ定められた安全性要求に関する監視を実施するとともに、その監視結果がフェイル結果である場合に各スイッチ部に対して所定のフェイルセーフ駆動信号を出力するようにした。この場合、マイクロコンピュータとは別の構成要素に、安全性要求に関する監視の機能とその監視結果に基づき実施されるフェイルセーフの機能とを付与することができ、マイクロコンピュータにおける機能安全規格の目標値を下げることが可能となる。つまり、マイクロコンピュータの設計の難度を下げることが可能となる。

また、安全性要求に関する監視の機能とその監視結果に基づき実施されるフェイルセーフの機能とを論理回路で実現することで、それら各機能の実現手段を、比較的低い故障率を有する電子部品で具現化でき、その点をもっても、機能安全の要求を満たす上で有利な構成となる。その結果、機能安全の要求に応えつつも、設計難度が増加する等の不都合を抑制することができる。

第１実施形態における電源システムの概略を示す構成図。 過充電監視に関する構成を示す図。 電源失陥監視に関する構成を示す図。 過充電ＦＳ回路の具体的な構成を示す図。 電源失陥ＦＳ回路の具体的な構成を示す図。 第２実施形態における電源システムの概略を示す構成図。 第２実施形態における電源失陥ＦＳ回路の具体的な構成を示す図。

以下、本発明を具体化した実施形態について図面を参照しつつ説明する。本実施形態の電源システムは車両に搭載される車載電源システムであり、車両は、エンジン（内燃機関）を駆動源として走行するものである。エンジンの始動時にはスタータモータの駆動によりエンジンに初期回転が付与されるものとなっている。また、本車両は、所定の自動停止条件を満たした場合にエンジンを自動停止させ、所定の自動再始動条件を満たした場合にエンジンを自動再始動させる、いわゆるアイドリングストップ機能を有している。

（第１実施形態）
まずは、電源システムの基本構成を図１により説明する。図１に示すように、本電源システムは、オルタネータ１１（発電機）、鉛蓄電池１２、リチウムイオン蓄電池１３、各種の電気負荷１４，１５，１６、半導体スイッチング素子からなるＭＯＳスイッチ２１、及び同じく半導体スイッチング素子からなるＳＭＲスイッチ２２を備えている。本実施形態では、鉛蓄電池１２が「第１蓄電池」に相当し、リチウムイオン蓄電池１３が「第２蓄電池」に相当する。また、ＭＯＳスイッチ２１が「第１スイッチ部」に相当し、ＳＭＲスイッチ２２が「第２スイッチ部」に相当する。オルタネータ１１が「充電装置」に相当する。

鉛蓄電池１２、リチウムイオン蓄電池１３及び電気負荷１４〜１６は、給電線１７によりオルタネータ１１に対して並列に電気接続されている。この給電線１７により、上記の各電気要素について相互の給電経路が形成されている。ＭＯＳスイッチ２１とＳＭＲスイッチ２２とは、鉛蓄電池１２とリチウムイオン蓄電池１３との間において直列に接続されており、両スイッチ２１，２２の間の中間点に電気負荷１６が接続されている。

鉛蓄電池１２は周知の汎用蓄電池である。これに対し、リチウムイオン蓄電池１３は、鉛蓄電池１２に比べて出力密度、及びエネルギ密度の高い高密度蓄電池である。リチウムイオン蓄電池１３は、複数の電池セル（単電池）を直列に接続してなる組電池により構成されている。なお、鉛蓄電池１２の蓄電容量は、リチウムイオン蓄電池１３の蓄電容量よりも大きいものとなっている。

ＭＯＳスイッチ２１は、２つのＭＯＳＦＥＴ２１ａ，２１ｂ（電界効果トランジスタ）により構成されており、オルタネータ１１及び鉛蓄電池１２と、リチウムイオン蓄電池１３及び電気負荷１６との間となる位置に設けられている。ＭＯＳスイッチ２１は、オルタネータ１１及び鉛蓄電池１２に対するリチウムイオン蓄電池１３の導通（オン）と遮断（オフ）を切り替えるスイッチとして機能する。ＭＯＳスイッチ２１は、マイクロコンピュータ（マイコン）等を有する制御部３０により制御され、制御部３０によりＭＯＳスイッチ２１のオン作動（導通作動）とオフ作動（遮断作動）とが切り替えられる。

ＭＯＳスイッチ２１は、ＭＯＳＦＥＴの内部構造上必然的に整流手段を有していると言える。すなわち、ＭＯＳスイッチ２１を構成するＭＯＳＦＥＴ２１ａ，２１ｂは、ゲート、ドレイン及びソースを有する半導体スイッチ部を有し、ドレイン−ソース間には寄生ダイオード（整流手段）が形成されている。２つのＭＯＳＦＥＴ２１ａ，２１ｂは、寄生ダイオードが互いに逆向きで、かつアノード同士が接続されるようにして直列に接続されている。そのため、両ＭＯＳＦＥＴ２１ａ，２１ｂをオフ作動させた場合において、寄生ダイオードを通じて電流が流れることを完全に遮断できる。よって、２つのＭＯＳＦＥＴ２１ａ，２１ｂをオフ作動させれば、リチウムイオン蓄電池１３から鉛蓄電池１２の側に放電されること、及び鉛蓄電池１２の側からリチウムイオン蓄電池１３に充電されることを回避できる。

また、ＳＭＲスイッチ２２は、ＭＯＳスイッチ２１と同様に、２つのＭＯＳＦＥＴ２２ａ，２２ｂにより構成されており、ＭＯＳスイッチ２１及び電気負荷１６の接続点（図のＸ）とリチウムイオン蓄電池１３との間に設けられている。ＳＭＲスイッチ２２は、ＭＯＳスイッチ２１及び電気負荷１６の接続点（Ｘ）に対するリチウムイオン蓄電池１３の導通及び遮断を切り替えるスイッチとして機能する。ＳＭＲスイッチ２２は制御部３０により制御され、制御部３０によりＳＭＲスイッチ２２のオン作動（導通作動）とオフ作動（遮断作動）とが切り替えられる。

ＳＭＲスイッチ２２は、ＭＯＳスイッチ２１と同様に、ＭＯＳＦＥＴの寄生ダイオードからなる整流手段を有している。そのため、両ＭＯＳＦＥＴ２２ａ，２２ｂをオフ作動させれば、寄生ダイオードを通じて電流が流れることを完全に遮断でき、リチウムイオン蓄電池１３から鉛蓄電池１２や電気負荷１６の側に放電されること、及び鉛蓄電池１２の側からリチウムイオン蓄電池１３に充電されることを回避できる。

ＳＭＲスイッチ２２は非常時用の開閉手段でもあり、非常時でない通常時には、制御部３０からオン信号が出力されることでオン状態に保持される。そして、以下に例示する非常時に、オン信号の出力が停止されてＳＭＲスイッチ２２がオフ作動される。このＳＭＲスイッチ２２のオフ作動により、リチウムイオン蓄電池１３の過充電や過放電の回避が図られている。例えば、オルタネータ１１に設けられたレギュレータが故障して設定電圧Ｖｒｅｇが異常に高くなる場合には、リチウムイオン蓄電池１３が過充電の状態になることが懸念される。かかる場合にＳＭＲスイッチ２２をオフ作動させる。また、オルタネータ１１の故障やＭＯＳスイッチ２１の故障によりリチウムイオン蓄電池１３への充電ができなくなる場合には、リチウムイオン蓄電池１３が過放電になることが懸念される。かかる場合にもＳＭＲスイッチ２２をオフ作動させる。

なお、各スイッチ２１，２２において２つずつのＭＯＳＦＥＴ２１ａ，２１ｂとＭＯＳＦＥＴ２２ａ，２２ｂとは、制御部３０によりそれぞれ同時のオンオフ操作が可能となっている。つまり、制御部３０からの駆動信号によりＭＯＳスイッチ２１のＭＯＳＦＥＴ２１ａ，２１ｂが同時にオン又はオフ作動し、同じく制御部３０からの駆動信号によりＳＭＲスイッチ２２のＭＯＳＦＥＴ２２ａ，２２ｂが同時にオン又はオフ作動する。

電気負荷１４〜１６のうち電気負荷１４は、エンジンを始動させるためのスタータモータ（始動装置）であり、電気負荷１５は、ヘッドライトやパワーウインドウモータ等の一般負荷である。また、電気負荷１６は、供給電力の電圧が概ね一定、又は少なくとも所定範囲内で変動するよう安定であることが要求される定電圧要求電気負荷（保護負荷）であり、具体例としてはナビゲーション装置やオーディオ装置が挙げられる。電気負荷１６に各種のＥＣＵが含まれていてもよい。なお、少なくとも電気負荷１６は、アイドリングストップ制御における自動停止時にも電力の供給が必要となる電気負荷である。

ＳＭＲスイッチ２２と接地点との間には過電流対策としてヒューズ２５が設けられている。これにより、仮にリチウムイオン蓄電池１３とＳＭＲスイッチ２２とからなる経路に過剰な電流が流れる場合には、ヒューズ２５が溶断されることでこれらリチウムイオン蓄電池１３やＳＭＲスイッチ２２が保護されるようになっている。

また、給電線１７には、ＭＯＳスイッチ２１をバイパスするようにしてバイパス給電線２６が接続されている。バイパス給電線２６は、一方の端部が給電線１７においてＭＯＳスイッチ２１よりも鉛蓄電池１２の側に接続され、他方の端部が給電線１７においてＭＯＳスイッチ２１よりも電気負荷１６の側（リチウムイオン蓄電池１３の側）に接続されている。そして、バイパス給電線２６を介して、オルタネータ１１及び鉛蓄電池１２の少なくともいずれかから電気負荷１６への電力供給が可能となっている。

バイパス給電線２６には、常閉式の電磁リレーであるバイパスリレー２７（バイパス切替手段）が設けられている。バイパスリレー２７の作動は制御部３０により制御される。バイパスリレー２７は、ＭＯＳスイッチ２１や制御部３０に異常（故障）が発生した場合に使用される非常時通電手段であり、通常時（非故障時）は、制御部３０から励磁電流が常時出力されることで開放状態となっている。そして、例えば制御部３０に異常が発生してＭＯＳスイッチ２１をオンできなくなると、制御部３０からの励磁電流の出力が停止され、常閉式であるバイパスリレー２７が導通状態にされて、バイパス給電線２６が導通されるようになっている。これにより、バイパス給電線２６を介して、オルタネータ１１及び鉛蓄電池１２の少なくともいずれかから電気負荷１６への電力供給が実施される。

各スイッチ２１，２２と制御部３０とは同一の回路基板Ｋに実装されて設けられている。この場合、回路基板Ｋにおける電源喪失が生じた場合には、ＭＯＳスイッチ２１がオン（閉鎖）、ＳＭＲスイッチ２２がオフ（開放）の状態になるように回路設計がなされている。

また、リチウムイオン蓄電池１３や、各スイッチ２２，２２、バイパスリレー２７、制御部３０は筐体（収容ケース）に収容されることで一体化され、電池ユニットＵとして構成されている。電池ユニットＵにおいて鉛蓄電池１２に接続される端子がＰｂ＋端子、ＭＯＳスイッチ２１及びＳＭＲスイッチ２２の中間点Ｘに接続される端子がＬｉｏｕｔ端子となっている。電池ユニットＵ内の制御部３０は、電池ユニット外の図示しないＥＣＵ（電子制御装置）に相互に通信可能に接続されている。

ところで、電池ユニットＵにおいては機能安全に関する規格が適用され、安全性要求に基づく各種の監視が実施されるようになっている。本実施形態では、リチウムイオン蓄電池１３について過充電の監視と電源失陥の監視とを監視項目としており、制御部３０は、リチウムイオン蓄電池１３が過充電状態になったことを監視する過充電監視機能と、電源失陥状態になったことを判定する電源失陥監視機能と、これらの監視結果に応じて所定のフェイルセーフ（ＦＳ）を実施するフェイルセーフ機能とを有している。なお、電源失陥とは、リチウムイオン蓄電池１３だけから電力供給が行われる場合に、その電力供給が意図せず停止される異常を言う。

これら各機能について略述する。過充電監視機能は、リチウムイオン蓄電池１３について総電圧と電池セルごとのセル電圧とをそれぞれ取り込み、その総電圧に基づいて、又はセル電圧に基づいてリチウムイオン蓄電池１３が過充電状態になっているか否かを監視する機能である。また、電源失陥監視機能は、リチウムイオン蓄電池１３について意図せず電力供給が停止される電源失陥が生じているか否かを監視する機能である。フェイルセーフ機能は、過充電が生じている場合にリチウムイオン蓄電池１３の充放電を停止させる機能、又は電源失陥が生じている場合にリチウムイオン蓄電池１３以外の蓄電池（本実施形態では鉛蓄電池１２）により電気負荷１６に対する電力供給を継続させる機能である。

図２は、制御部３０においてリチウムイオン蓄電池１３の過充電監視に関する構成を示す機能ブロック図であり、図３は、制御部３０においてリチウムイオン蓄電池１３の電源失陥監視に関する構成を示す機能ブロック図である。ここではまず、リチウムイオン蓄電池１３の過充電監視について図２を用いて説明する。

図２において、制御部３０は、大別してマイコン３１と、スイッチ駆動回路３２と、監視ＩＣ３３と、過充電ＦＳ回路３４とを有している。このうちマイコン３１は、ＣＰＵや各種メモリを有する周知の演算装置であり、その基本的な制御機能として、ＭＯＳスイッチ２１のオンオフ（開閉）を切り替えるＭＯＳ制御部４１と、ＳＭＲスイッチ２２のオンオフ（開閉）を切り替えるＳＭＲ制御部４２とを有している。これら各制御部４１，４２は、車両の運転状態や各蓄電池１２，１３の状態に応じて、各スイッチ２１，２２のオンオフをそれぞれ制御するものであり、例えば車両においてエンジンの自動停止が実施されている自動停止状態下では、ＭＯＳスイッチ２１がオフ、ＳＭＲスイッチ２２がオンに制御される。

具体的な構成としては、マイコン３１には、エンジンＥＣＵ等の上位ＥＣＵから送られる情報を受信するＣＡＮ通信部４３と、そのＣＡＮ通信部４３で受信した各種情報を、ＭＯＳ制御用、ＳＭＲ制御用に各々分けて記憶するレジスタ４４，４５とが設けられている。そして、ＭＯＳ制御部４１は、レジスタ４４に記憶されている情報に基づいてＭＯＳスイッチ２１のオンオフを制御し、ＳＭＲ制御部４２は、レジスタ４５に記憶されている情報に基づいてＳＭＲスイッチ２２のオンオフを制御する。なお、各制御部４１，４２が「複数の演算処理手段」に相当し、さらにそのうちＭＯＳ制御部４１が「第１制御手段」に、ＳＭＲ制御部４２が「第２制御手段」に相当する。また、レジスタ４４，４５が「複数の記憶部」に相当する。これら複数の記憶部は、各制御部４１，４２と同様、互いに干渉せず各々独立して設けられている。各制御部４１，４２に関して言えば、各々独立して実施される２つの制御プログラム（演算アプリ）が用意され、それら各制御プログラムが実施されることで２つのスイッチ制御機能が個別に実現される。

上記構成では、図示は略しているが、各制御部４１，４２の出力ポートも個別に設けられている。なお、ＣＡＮ通信部４３においてＭＯＳ制御用の情報とＳＭＲ制御用の情報とを各々個別に（すなわち時間差を付けて）受信するようにしたり、ＭＯＳ制御用の通信回路とＳＭＲ制御用の通信回路とを各々設けたりすることも可能である。この場合、入力段から出力段に至るまで互いに干渉がないように独立させた２系統以上の回路構成が構築されているとよい。

スイッチ駆動回路３２は、ＭＯＳ制御部４１により出力されるＭＯＳ制御信号に基づいてＭＯＳスイッチ２１をオンオフさせるゲート駆動ＩＣ３２ａと、ＳＭＲ制御部４２により出力されるＳＭＲ制御信号に基づいてＳＭＲスイッチ２２をオンオフさせるゲート駆動ＩＣ３２ｂとを有している。ゲート駆動ＩＣ３２ａは、ハイレベルのＭＯＳ制御信号により２つのＭＯＳＦＥＴ２１ａ，２１ｂを同様にオンさせ、ゲート駆動ＩＣ３２ｂは、ハイレベルのＳＭＲ制御信号により２つのＭＯＳＦＥＴ２２ａ，２２ｂを同様にオンオフさせるものとなっている。

また、監視ＩＣ３３は、リチウムイオン蓄電池１３における電池セルごとの端子電圧であるセル電圧（単位電圧）を逐次検出し、その検出信号を取り込むセル電圧取り込み部７１と、リチウムイオン蓄電池１３の総電圧を逐次検出し、その検出信号を取り込む総電圧取り込み部７２とを有している。このうち、セル電圧取り込み部７１は、電池セルごとに設けられる差動増幅回路と、各差動増幅回路の出力信号（セル電圧検出信号）を選択的に出力するマルチプレクサと、Ａ／Ｄ変換器と、通信部とを有している。また、総電圧取り込み部７２は、総電圧の検出信号を基準値と比較する比較器と、その比較器の出力信号に応じて過充電信号（ＯＶ信号）を出力する過充電信号出力部とを有している。

セル電圧取り込み部７１から出力される出力信号（各セル電圧）は、マイコン３１の通信部５１及びレジスタ５２を介して第１過充電判定部５３に入力される。第１過充電判定部５３は、各セル電圧の検出値に基づいて、リチウムイオン蓄電池１３において過充電が生じているか否かを判定する。なお、監視ＩＣ３３の通信部とマイコン３１の通信部５１との間では、例えばＳＰＩ（Serial Peripheral Interface）による双方向の通信が可能となっている。

また、総電圧取り込み部７２から出力される過充電信号は、マイコン３１の専用回路５４及びレジスタ５５を介して第２過充電判定部５６に入力される。第２過充電判定部５６は、総電圧の検出値に基づいて、リチウムイオン蓄電池１３において過充電が生じているか否かを判定する。各過充電判定部５３，５６が「複数の演算処理手段」に相当し、さらにそのうち第１過充電判定部５３が「第１判定手段」に、第２過充電判定部５６が「第２判定手段」に相当する。

なお、通信部５１と専用回路５４とはそれぞれ情報入力のための「複数の入力部」に相当し、レジスタ５２，５５は「複数の記憶部」に相当する。これら複数の入力部及び複数の記憶部は、各過充電判定部５３，５６と同様、情報の入力系統ごとに互いに干渉せず各々独立して設けられている。各過充電判定部５３，５６に関して言えば、各々独立して実施される２つの過充電判定プログラム（演算アプリ）が用意され、それら各過充電判定プログラムが実施されることで２つの過充電判定機能が個別に実現される。

各過充電判定部５３，５６の判定結果は、個別の過充電判定信号としてそれぞれ出力される。この場合、各過充電判定部５３，５６からはハイロー２値の論理信号が出力され、その論理信号が過充電ＦＳ回路３４に入力される。過充電非発生時の論理レベルはロー、過充電発生時の論理レベルはハイである。

過充電ＦＳ回路３４は、マイコン３１の外に設けられる論理回路部であり、マイコン３１から出力される複数の論理信号（過充電判定信号）を入力し、それらの入力信号を論理演算素子で論理演算した結果を出力する。過充電ＦＳ回路３４の具体的な構成を図４に示す。図４に示すように、過充電ＦＳ回路３４は、２つのマイコン出力信号を入力するＯＲ回路３４ａ（論理和回路）と、ＯＲ回路３４ａの出力側に設けられるＯＲ回路３４ｂ（論理和回路）と、分岐出力経路の一方に設けられるＮＯＴ回路３４ｃ（否定論理回路）とを有している。これら各論理演算素子のうち、ＯＲ回路３４ａがマイコン出力信号用の論理演算素子である。本実施形態では、二方に分岐した分岐出力経路のうちＳＭＲスイッチ２２側のゲート駆動ＩＣ３２ｂに接続される出力経路にＮＯＴ回路３４ｃが設けられている。なお、過充電ＦＳ回路３４は、ＩＣ化されて論理回路ＩＣとして実現されるとよい（後述の電源失陥ＦＳ回路３５も同様）。監視ＩＣ３３との一体化も可能である。なお、ＯＲ回路３４ｂに入力される異常判定信号については後述する。

過充電ＦＳ回路３４では、各過充電判定部５３，５６から出力される２つの論理信号（過充電判定信号）が論理演算素子としてのＯＲ回路３４ａに入力され、そのＯＲ回路３４ａの出力信号がＭＯＳ側とＳＭＲ側とで互いに反転されてゲート駆動ＩＣ３２ａ，３２ｂに対して出力される。

リチウムイオン蓄電池１３において過充電が発生していない正常状態では、２つの論理信号（過充電判定信号）はいずれもローであり、ＯＲ回路３４ａの出力信号もローとなる。この場合、ＭＯＳ側の出力信号がロー、ＳＭＲ側の出力信号がハイになる（ただし、異常判定信号＝ローの状態）。これに対し、リチウムイオン蓄電池１３において過充電が発生しており、その過充電状態が各過充電判定部５３，５６のいずれかで判定されている状態では、２つの論理信号（過充電判定信号）の少なくともいずれかがハイになり、ＯＲ回路３４ａの出力信号がハイになる。この場合、ＭＯＳ側の出力信号がハイ、ＳＭＲ側の出力信号がローになる。

過充電ＦＳ回路３４では、上記のとおり入力信号に応じてハイ又はローの信号が出力されるが、ゲート駆動ＩＣ３２ａ，３２ｂでは過充電ＦＳ回路３４の出力が全てそのまま反映されるのではなく、過充電ＦＳ回路３４の出力信号がフェイル相当の信号である場合にのみゲート駆動ＩＣ３２ａ，３２ｂで過充電ＦＳ回路３４の出力が反映されるようになっている。すなわち、ゲート駆動ＩＣ３２ａ，３２ｂでは、ＯＲ回路３４ａの出力がローの場合には、各制御部４１，４２からの制御信号が優先されて各スイッチ２１，２２が駆動される。つまり、通常駆動が実施される。また他方で、ＯＲ回路３４ａの出力がハイの場合には、過充電ＦＳ回路３４の出力により各スイッチ２１，２２が駆動される。こうした動きにより、過充電異常の発生時において、ＭＯＳスイッチ２１がオン、ＳＭＲスイッチ２２がオフとされる。そしてそれに伴い、リチウムイオン蓄電池１３の充放電が停止されるとともに、鉛蓄電池１２を用いての電気負荷１６の駆動等が行われる（鉛蓄電池１２の充放電が許可される）。つまり、過充電ＦＳ回路３４によって各スイッチ２１，２２のフェイルセーフ駆動が実施されることとなる。

なお、ゲート駆動ＩＣ３２ａ，３２ｂにおいて、過充電異常が生じていない通常時に各制御部４１，４２からの制御信号が優先されるようにする構成としては、例えばＭＯＳ側のゲート駆動ＩＣ３２ａの信号入力部にＯＲ回路を設ける構成、ＳＭＲ側のゲート駆動ＩＣ３２ｂの信号入力部にＮＡＮＤ回路を設ける構成が考えられる。

また、マイコン３１は、論理回路部である過充電ＦＳ回路３４の動作を監視する機能を有しており、その動作監視機能が付与された構成として、スイッチ監視部６１を有している（「監視手段」に相当）。スイッチ監視部６１は、過充電ＦＳ回路３４に対して所定のテスト信号を出力するとともに、そのテスト信号を入力した結果として過充電ＦＳ回路３４から出力される出力信号に基づいて、その過充電ＦＳ回路３４の動作信頼性を監視するものである。すなわち、スイッチ監視部６１は、アクティブテストとして過充電ＦＳ回路３４（論理回路部）の異常診断を実施する。

スイッチ監視部６１は、各過充電判定部５３，５６のダミー出力信号を出力するものであり、監視実施時には、第１過充電判定部５３のダミー出力信号としてハイ信号を出力するか、又は第２過充電判定部５６のダミー出力信号としてハイ信号を出力する。ハイレベルのダミー出力信号は、リチウムイオン蓄電池１３で過充電が生じていることを示す過充電テスト信号に相当する。この場合、スイッチ監視部６１は、ダミー出力信号（テスト信号）を出力した状態で、過充電ＦＳ回路３４の出力信号を取り込み、その出力信号の論理レベルが正しいか否かを判定する。ここでは特に、ＳＭＲスイッチ２２側のゲート駆動ＩＣ３２ｂに出力される出力信号のみを取り込み、同出力信号の論理レベルがロー（ＳＭＲスイッチ開放の信号）であれば正常であると判定し、ハイであれば異常であると判定する。

なお、テスト信号は所定条件の成立時に出力され、例えば車両の１走行に１回に出力されるか、又は所定距離の車両走行の都度、出力されるとよい。

マイコン３１と監視ＩＣ３３とは相互に動作の監視が可能となっており、各々に相互監視部６２，７４を有している。これらの相互監視部６２，７４は、マイコン３１及び監視ＩＣ３３の各通信部を介して共有される情報に基づいて相互に異常監視を行っており、その相互監視の結果は相互監視部７４から異常判定部７５に出力される。

異常判定部７５は、相互監視部６２，７４による相互監視の結果から異常の有無を判定し、異常有りの場合には過充電ＦＳ回路３４に対して直接、異常判定信号を出力する。この場合、異常判定部７５からの異常判定信号は、過充電ＦＳ回路３４（ＯＲ回路３４ａ）において監視結果がフェイル結果であると判断される場合と同じ論理レベルの信号（ハイ信号）であり、当該信号が、過充電ＦＳ回路３４におけるＯＲ回路３４ａ（マイコン出力信号用の論理演算素子）の出力端子側に出力される（図４参照）。

なお、監視ＩＣ３３は、マイコン３１の動作異常を監視する「マイコン監視部」に相当するものでもある。したがって、マイコン３１の動作異常有りと判定された場合には、異常判定部７５を通じて、過充電ＦＳ回路３４に対してフェイル相当の異常判定信号が出力される。異常判定信号は、マイコン３１を介さずに監視ＩＣ３３から直接出力されるフェイルセーフ作動信号である。異常判定信号は、正常時にロー（０Ｖ）、異常時にハイ（５Ｖ）となる２値信号として出力される。

マイコン３１と監視ＩＣ３３との相互監視について具体的に説明する。本実施形態では、マイコン３１及び監視ＩＣ３３の各相互監視部６２，７４において、それぞれに宿題回答方式による相互の動作監視を行うようにしており、特に過充電ＦＳ回路３４の論理演算に準じた宿題回答による動作監視を行うようにしている。すなわち、各相互監視部６２，７４の一方から他方に対して、過充電ＦＳ回路３４の２入力信号としてハイ信号及びロー信号のいずれかを指定し、その他方において２入力信号に対する出力信号のレベルを回答させる。そして、その回答の正誤結果に基づいて、相互監視の結果を決定する。

ところで、マイコン３１側の相互監視部６２には、上述したスイッチ監視部６１の監視結果が入力されるようになっている。そのため、相互監視部６２では、スイッチ監視部６１の監視結果から、過充電ＦＳ回路３４の異常が生じていることを把握できる。そして、相互監視部６２において過充電ＦＳ回路３４の異常が把握された場合には、相互監視部６２が宿題回答の結果をわざと（意図的に）間違えることにより、異常判定部７５から過充電ＦＳ回路３４のＯＲ回路３４ａの出力側に対して、フェイル結果の時と同じ論理レベルの信号が出力されるようになっている。つまり、監視ＩＣ３３側でのフェイルセーフ実施が可能となっている。

マイコン３１と監視ＩＣ３３とには、それぞれに相互の動作監視を可能にすべく、各々別系統（Ｖ１，Ｖ２）からの電源供給がなされている。例えば、マイコン３１及び監視ＩＣ３３のうち一方をＩＧ系電源、他方をＡＣＣ系電源としたり、一方を鉛蓄電池１２、他方をリチウムイオン蓄電池１３としたりするとよい。

また、フェイルセーフ機能を実現する上では、各スイッチ２１，２２が正しく動作できるかどうかを事前に確認しておくことが望ましく、リチウムイオン蓄電池１３の過充電防止の観点からすれば、ＳＭＲスイッチ２２の動作確認を実施しておくことが望ましい。そこで本実施形態では、マイコン３１に、「スイッチ動作確認手段」としてのＳＭＲ動作確認部６５を設けている。以下、スイッチ動作確認のための構成を説明する。

各スイッチ２１，２２においては、各一対のＭＯＳＦＥＴに直列に電流検出抵抗２１ｃ，２２ｃが接続されており、その電流検出抵抗２１ｃ，２２ｃによる電流検出結果は、セル電圧取り込み部７１に取り込まれ、さらにＡ／Ｄ変換器や通信部を介してマイコン３１に出力される。そして、その電流検出結果（ここでは特にＳＭＲスイッチ２２側の電流検出結果）がマイコン３１内のレジスタ６６を介してＳＭＲ動作確認部６５に入力され、ＳＭＲ動作確認部６５では、ＳＭＲ制御部４２によるＳＭＲスイッチ２２の制御指令と電流検出結果とに基づいて、ＳＭＲスイッチ２２が正しく駆動されているかどうかを判定する。例えば、ＳＭＲスイッチ２２のオンオフが切り替えられたにもかかわらず電流変化が生じていない場合に、ＳＭＲスイッチ２２に異常が生じていると判定する。この場合、仮にＳＭＲスイッチ２２に異常が生じていると判定されると、ＳＭＲスイッチ２２をオフしてもそれによるフェイルセーフが正しく実施できないとの判定が行われる。そのため、バイパスリレー２７（図１参照）の励磁を停止させることでバイパスリレー２７を閉状態とし、そのバイパスリレー２７を介して鉛蓄電池１２と電気負荷１６とを導通させるようにしている。

その他、マイコン３１には、ソフトウエアのプログラム実施順序や実施時間などによりマイコン３１の機能チェックを行うプログラム監視部６８が設けられており、プログラム監視部６８の監視結果は、専用回路６９を介して監視ＩＣ３３のウオッチドックタイマ部７６に入力される。ウオッチドックタイマ部７６は、プログラム監視部６８の監視結果からマイコン３１の機能確認を行い、その結果を異常判定部７５に伝達する。異常判定部７５は、マイコン３１の機能異常が判定された場合に、その旨を示す異常判定信号を過充電ＦＳ回路３４に対して出力する。

次に、リチウムイオン蓄電池１３の電源失陥監視について図３を用いて説明する。図３に示す制御部３０は、図２の構成と同様に、マイコン３１と、スイッチ駆動回路３２と、監視ＩＣ３３とを有するとともに、過充電ＦＳ回路３４に代えて電源失陥ＦＳ回路３５を有している。これら各構成のうち、マイコン３１はその内部構成が相違しており、その相違点を説明する。ただし、図３には電源失陥監視に関する構成のみが示されており、マイコン３１及び他構成の機能としては図２に示す機能を併せ持つものとなっている。図２，図３では、共通の構成について同一の符号を付している。

図３において、マイコン３１は、図２の構成と同様に、ＭＯＳ制御部４１とＳＭＲ制御部４２とを有している。この場合、各制御部４１，４２から出力される制御信号がスイッチ駆動回路３２のゲート駆動ＩＣ３２ａ，３２ｂにそれぞれ入力され、そのゲート駆動ＩＣ３２ａ，３２ｂにより各スイッチ２１，２２がオンオフされる構成も図２と同様である。これら各制御部４１，４２は、各蓄電池１２，１３の充放電作動時においてＭＯＳスイッチ２１及びＳＭＲスイッチ２２の少なくともいずれかがオン（閉状態）になるよう制御を実施する。換言すれば、制御態様としては、両スイッチ２１，２２がいずれもオフ（開状態）になる態様は存在しておらず、両スイッチ２１，２２がいずれもオフの場合にはマイコン３１において電源切替が不能となる異常が生じている、とみなすことが可能となっている。

また、電源失陥ＦＳ回路３５は、過充電ＦＳ回路３４と同様にマイコン３１の外に設けられる論理回路部であり、各制御部４１，４２からそれぞれ出力される制御信号（スイッチ制御のための論理信号）を入力し、それらの入力信号を論理演算素子で論理演算した結果を出力する。電源失陥ＦＳ回路３５の具体的な構成を図５に示す。図５に示すように、電源失陥ＦＳ回路３５は、２つのマイコン出力信号を入力するＮＯＲ回路３５ａ（否定論理和回路）と、ＮＯＲ回路３５ａの出力側に設けられるＯＲ回路３５ｂ（論理和回路）と、分岐出力経路の一方に設けられるＮＯＴ回路３５ｃ（否定論理回路）とを有している。これら各論理演算素子のうち、ＮＯＲ回路３５ａがマイコン出力信号用の論理演算素子である。本実施形態では、二方に分岐した分岐出力経路のうちＳＭＲスイッチ２２側のゲート駆動ＩＣ３２ｂに接続される出力経路にＮＯＴ回路３５ｃが設けられている。

電源失陥ＦＳ回路３５では、各制御部４１，４２から出力される２つの論理信号（スイッチ制御信号）が論理演算素子としてのＮＯＲ回路３５ａに入力され、そのＮＯＲ回路３５ａの出力信号がＭＯＳ側とＳＭＲ側とで互いに反転されてゲート駆動ＩＣ３２ａ，３２ｂに対して出力される。

リチウムイオン蓄電池１３において電力供給機能の停止（電源失陥）が生じていない正常状態では、２つの論理信号（スイッチ制御信号）は少なくともいずれかがハイであり、ＮＯＲ回路３５ａの出力信号がローとなる。この場合、ＭＯＳ側の出力信号がロー、ＳＭＲ側の出力信号がハイになる（ただし、異常判定信号＝ローの状態）。これに対し、リチウムイオン蓄電池１３において電源失陥が生じており、２つの論理信号（スイッチ制御信号）がいずれもローになっていると、ＮＯＲ回路３５ａの出力信号がハイになる。この場合、ＭＯＳ側の出力信号がハイ、ＳＭＲ側の出力信号がローになる。

電源失陥ＦＳ回路３５で上記のとおりハイ又はローの信号が出力される場合において、電源失陥ＦＳ回路３５の出力信号がフェイル相当の信号である場合にのみゲート駆動ＩＣ３２ａ，３２ｂで電源失陥ＦＳ回路３５の出力が反映されるのは、既述の過充電ＦＳ回路３４と同様である。すなわち、ゲート駆動ＩＣ３２ａ，３２ｂでは、ＮＯＲ回路３５ａの出力がローの場合には、各制御部４１，４２からの制御信号が優先されて各スイッチ２１，２２が駆動される。つまり、通常駆動が実施される。また他方で、ＮＯＲ回路３５ａの出力がハイの場合には、電源失陥ＦＳ回路３５の出力により各スイッチ２１，２２が駆動される。こうした動きにより、電源失陥異常の発生時において、ＭＯＳスイッチ２１がオン、ＳＭＲスイッチ２２がオフとされる。そしてそれに伴い、リチウムイオン蓄電池１３の充放電が停止されるとともに、鉛蓄電池１２を用いての電気負荷１６の駆動等が行われる（鉛蓄電池１２の充放電が許可される）。つまり、電源失陥ＦＳ回路３５によって各スイッチ２１，２２のフェイルセーフ駆動が実施されることとなる。

また、マイコン３１は、論理回路部である電源失陥ＦＳ回路３５の動作を監視する機能を有しており、その動作監視機能が付与された構成として、スイッチ監視部８１を有している（「監視手段」に相当）。スイッチ監視部８１は、電源失陥ＦＳ回路３５に対して所定のテスト信号を出力するとともに、そのテスト信号を入力した結果として電源失陥ＦＳ回路３５から出力される出力信号に基づいて、その電源失陥ＦＳ回路３５の動作信頼性を監視するものである。スイッチ監視部８１は、各制御部４１，４２のダミー制御信号を出力するものであり、監視実施時には、ＭＯＳ制御部４１及びＳＭＲ制御部４２の各ダミー制御信号としてそれぞれロー信号（リチウムイオン蓄電池１３で電源失陥が生じていることを示す電源失陥テスト信号）を出力する。この場合、スイッチ監視部８１は、ダミー制御信号（テスト信号）を出力した状態で、電源失陥ＦＳ回路３５の出力信号を取り込み、その出力信号の論理レベルが正しいか否かを判定する。ここでは特に、ＭＯＳスイッチ２１側のゲート駆動ＩＣ３２ａに出力される出力信号のみを取り込み、同出力信号の論理レベルがハイ（ＳＭＲスイッチ閉鎖の信号）であれば正常であると判定し、ローであれば異常であると判定する。

なお、テスト信号は所定条件の成立時に出力され、例えば車両の１走行に１回に出力されるか、又は所定距離の車両走行の都度、出力されるとよい。

ここでも、図２の構成と同様に、マイコン３１と監視ＩＣ３３とは相互に動作の監視が可能となっており、その相互監視は相互監視部６２，７４により実施される。具体的には、各相互監視部６２，７４において、それぞれに宿題回答方式による相互の動作監視を行うようにしており、特に電源失陥ＦＳ回路３５の論理演算に準じた宿題回答による動作監視を行うようにしている。すなわち、各相互監視部６２，７４の一方から他方に対して、電源失陥ＦＳ回路３５の２入力信号として共にロー信号を指定し、その他方において２入力信号に対する出力信号のレベルを回答させる。そして、その回答の正誤結果に基づいて、相互監視の結果を決定する。

また、マイコン３１側の相互監視部６２には、上述したスイッチ監視部８１の監視結果が入力されるようになっている。そのため、相互監視部６２では、スイッチ監視部８１の監視結果から、電源失陥ＦＳ回路３５の異常が生じていることを把握できる。そして、相互監視部６２において電源失陥ＦＳ回路３５の異常が把握された場合には、相互監視部６２が宿題回答の結果をわざと（意図的に）間違えることにより、異常判定部７５から電源失陥ＦＳ回路３５のＮＯＲ回路３５ａの出力側に対して、フェイル結果の時と同じ論理レベルの信号が出力されるようになっている。つまり、監視ＩＣ３３側でのフェイルセーフ実施が可能となっている。

ところで、各制御部４１，４２から出力されるスイッチ制御信号が共にローであることに基づいて電源失陥異常を判定する構成では、車両の電源スイッチ（ＩＧスイッチ）のオフ時などに電源失陥ＦＳ回路３５が誤動作することが考えられる。そこで本実施形態では、その誤動作を防止すべく、車両が動作状態であることを示す動作確認信号を入力する信号処理部を設け、その動作確認信号の入力状態下で電源失陥ＦＳ回路３５の動作を有効にすることとしている。

具体的には、マイコン３１は、上位ＥＣＵから送られる情報をＣＡＮ通信部４３を介して入力しその情報に基づいて有効状態か否かを判定する有効判定部８２を有している。有効判定部８２は、「信号処理部」に相当し、「動作確認信号」として車速信号（車速パルスに基づき算出された車速情報）を入力する。そして、車速信号が入力されている状態下で、電源失陥ＦＳ回路３５に対して電源失陥の監視を有効状態とするための有効信号を出力する。電源失陥ＦＳ回路３５は、有効判定部８２から出力される有効信号に基づいて有効状態とされ、その有効状態下において各制御部４１，４２からのスイッチ制御信号に基づいて電源失陥の監視を実施する。この場合、車速があるときは有効状態とされるため、車両走行中においてエンストにつながる可能性のある電源失陥を回避可能にすることができる。

有効判定部８２の有効信号についてより詳しくは、その有効信号は、所定値以上であるＰｂ電圧が使われるようになっている。すなわち、マイコン３１には鉛蓄電池１２から延びる電圧線が引き込まれており、有効判定部８２は、鉛蓄電池１２の端子電圧が所定値以上である場合に、電源失陥ＦＳ回路３５を有効状態とする論理レベルの有効信号を出力する。これにより、フェイルセーフとしてリチウムイオン蓄電池１３に代えて鉛蓄電池１２が使用される場合において、鉛蓄電池１２側の電力保証が可能となる。

また、電源失陥防止（すなわち電源継続）の観点からすれば、ＭＯＳスイッチ２１の動作確認を事前に実施しておくことが望ましい。そこで本実施形態では、マイコン３１に、「スイッチ動作確認手段」としてのＭＯＳ動作確認部８３を設けている。具体的には、監視ＩＣ３３のセル電圧取り込み部７１からマイコン３１に入力される電流検出結果（ここでは特にＭＯＳスイッチ２１側の電流検出結果）がレジスタ６６を介してＭＯＳ動作確認部８３に入力され、ＭＯＳ動作確認部８３では、ＭＯＳ制御部４１によるＭＯＳスイッチ２１の制御指令と電流検出結果とに基づいて、ＭＯＳスイッチ２１が正しく駆動されているかどうかを判定する。この場合、仮にＭＯＳスイッチ２１に異常が生じていると判定されると、ＭＯＳスイッチ２１をオンしてもそれによるフェイルセーフが正しく実施できないとの判定が行われる。そのため、バイパスリレー２７（図１参照）の励磁を停止させることでバイパスリレー２７を閉状態とし、そのバイパスリレー２７を介して鉛蓄電池１２と電気負荷１６とを導通させるようにしている。

以上詳述した本実施形態によれば、以下の優れた効果が得られる。

電池ユニットＵの制御部３０において各スイッチ２１，２２の切り替え制御の機能や異常監視の機能が具備される場合には、その機能の多様化に伴い、機能安全規格における目標値（ハザードに対する目標故障率）が高くなり、高い安全性が要求されることが考えられる。この点、上記構成では、マイコン３１の外付けで論理回路部としての各ＦＳ回路３４，３５を設け、それら各ＦＳ回路３４，３５により、リチウムイオン蓄電池１３の機能安全の要求に関する監視を実施するとともに、その監視結果がフェイル結果である場合に各スイッチ２１，２２に対して所定のフェイルセーフ駆動信号を出力するようにした。この場合、マイコン３１とは別の構成要素に、安全性要求に関する監視の機能とその監視結果に基づき実施されるフェイルセーフの機能とを付与することができ、マイコン３１における機能安全規格の目標値を下げることが可能となる。つまり、仮に製品として高ＡＳＩＬが課せられたとしても、マイコン３１の制御（アプリ演算）自体にはＡＳＩＬに応じた目標故障率は課せられず、マイコン３１の設計の難度を下げることが可能となる。

また、安全性要求に関する監視の機能とその監視結果に基づき実施されるフェイルセーフの機能とを論理回路で実現することで、それら各機能の実現手段を、比較的低い故障率を有する電子部品で具現化でき、その点をもっても、機能安全の要求を満たす上で有利な構成となる。その結果、機能安全の要求に応えつつも、設計難度が増加する等の不都合を抑制することができる。

上記構成では、マイコン３１において、各スイッチ２１，２２のオンオフ制御機能を２つの制御部４１，４２で各々実施することとした。また、過充電異常の判定機能を２つの過充電判定部５３，５６で各々実施することとした。この場合、各制御部４１，４２又は各過充電判定部５３，５６は、相互干渉を伴うことなく各自のアプリ演算を実施するものとなっている。そのため、機能の分割（デコンポジション）によってマイコン３１の監視要求レベル（すなわちＡＳＩＬに応じた目標故障率）を下げることができる。

また、マイコン３１において各制御部４１，４２や各過充電判定部５３，５６で用いられる各種情報を各々個別に記憶するレジスタについて、それら各レジスタを相互干渉が生じないよう各々独立して設ける構成とした。そのため、かかる構成によっても、機能分割による要求レベルの降下を図ることができる。また、記憶部（レジスタ）に加え、情報入力部についても各々独立して設けることで、より一層の要求レベルの降下を図ることができる。

過充電監視に関して、マイコン３１に２つの過充電判定部５３，５６を設けるとともに、マイコン３１外に過充電ＦＳ回路３４を設ける構成とした。また、過充電ＦＳ回路３４を、論理演算素子であるＯＲ回路３４ａを備える論理回路部として構成し、ＯＲ回路３４ａの出力信号に基づいて各スイッチ２１，２２をフェイルセーフ駆動させるようにした。この場合、マイコン３１のアプリ演算から過充電異常に関するフェイルセーフ機能を除外しても、そのフェイルセーフを過充電ＦＳ回路３４により好適に実施できる。また、リチウムイオン蓄電池１３の充放電を停止させ、かつ鉛蓄電池１２の充放電を許可することをもってフェイルセーフを実施する構成としたため、リチウムイオン蓄電池１３でのガス発生を抑制しつつ、継続的な車両運転を実施できる。

マイコン３１に、過充電ＦＳ回路３４の動作信頼性を監視するスイッチ監視部６１を設け、スイッチ監視部６１から過充電ＦＳ回路３４に出力されるダミー出力信号（過充電テスト信号）の応答結果により、過充電ＦＳ回路３４の動作信頼性を監視する構成とした。かかる構成によれば、過充電ＦＳ回路３４の動作保証がなされた状態の下、所望のフェイルセーフを実現できる。

また、電源失陥監視に関して、マイコン３１外に、マイコン３１の２つのスイッチ制御信号が所定レベル（本実施形態では共にロー）になっていることを監視する電源失陥ＦＳ回路３５を設ける構成とした。また、電源失陥ＦＳ回路３５を、論理演算素子であるＮＯＲ回路３５ａを備える論理回路部として構成し、ＮＯＲ回路３５ａの出力信号に基づいて各スイッチ２１，２２をフェイルセーフ駆動させるようにした。この場合、マイコン３１のアプリ演算から電源失陥異常に関するフェイルセーフ機能を除外しても、そのフェイルセーフを電源失陥ＦＳ回路３５により好適に実施できる。また、リチウムイオン蓄電池１３の充放電を停止させ、かつ鉛蓄電池１２の充放電を許可することをもってフェイルセーフを実施する構成としたため、リチウムイオン蓄電池１３での電源失陥に起因して電気負荷１６の駆動が不可になる、といった不都合を抑制でき、継続的な車両運転を実施できる。

マイコン３１に、車両が動作状態になっていることを示す車速信号（動作確認信号）を入力する有効判定部８２を設け、有効判定部８２から出力される有効信号により電源失陥ＦＳ回路３５での監視を有効状態にする構成とした。これにより、各制御部４１，４２から出力されるスイッチ制御信号が共にローであることに基づき電源失陥ＦＳ回路３５で電源失陥異常を判定する構成において、車両のＩＧスイッチのオフ時などに瞬時的に２つのロー信号が入力されることに起因して電源失陥ＦＳ回路３５の誤動作が生じる、といった不都合を回避できる。つまり、電源失陥ＦＳ回路３５における動作信頼性を高めることができる。

マイコン３１に、電源失陥ＦＳ回路３５の動作信頼性を監視するスイッチ監視部８１を設け、スイッチ監視部８１から電源失陥ＦＳ回路３５に出力されるダミー制御信号（電源失陥テスト信号）の応答結果により、電源失陥ＦＳ回路３５の動作信頼性を監視する構成とした。かかる構成によれば、電源失陥ＦＳ回路３５の動作保証がなされた状態の下、所望のフェイルセーフを実現できる。

監視ＩＣ３３が、マイコン３１の動作異常があると判定した場合に、過充電ＦＳ回路３４のＯＲ回路３４ａの出力側、又は電源失陥ＦＳ回路３５のＮＯＲ回路３５ａの出力側に対して、フェイル相当の論理レベルの信号（異常判定信号）を出力する構成とした。つまり、各ＦＳ回路３４，３５に対して、マイコン出力信号用の論理演算素子であるＯＲ回路３４ａ又はＮＯＲ回路３５ａを迂回してフェイルセーフ信号を直接出力する構成とした。これにより、マイコン３１の動作信頼性が低下している状況下でも、所望とするフェイルセーフを適正に実施できる。

この場合、異常判定信号を、過充電ＦＳ回路３４のＯＲ回路３４ａの出力側、又は電源失陥ＦＳ回路３５のＮＯＲ回路３５ａの出力側に出力する構成であるため、各ＦＳ回路３４，３５でのマイコン入力に関する論理演算とは無関係にフェイルセーフを実施できる。

マイコン３１と監視ＩＣ３３との間で、各ＦＳ回路３４，３５における論理演算（特にマイコン出力に基づく論理演算）と同様の宿題回答による動作監視を行うようにした。これにより、各ＦＳ回路３４，３５での論理演算に対する親和性を持たせつつ、相互監視を実施できる。

電源システム内での異常発生時に、マイコン３１と監視ＩＣ３３との間の相互監視で宿題回答の結果を意図的に間違えさせるようにした。これにより、監視ＩＣ３３からＦＳ回路３４，３５への異常判定信号の出力を意図的に生じさせることができる。

マイコン３１に、フェイルセーフ時の駆動対象となる各スイッチ２１，２２の動作確認を行う動作確認部６５，８３を設ける構成とした。これにより、過充電や電源失陥の異常が生じた場合におけるフェイルセーフの動作保証を事前に実施しておくことができる。

（第２実施形態）
次に、第２実施形態について上記第１実施形態との相違点を中心に説明する。本実施形態では、電源システムにおいて切替可能な接点の数（スイッチ部の数）を増やし、それにより蓄電池から電気負荷に対する電力供給態様を変更することとしている。図６には、第２実施形態における電源システムの構成を示す。図６に示す構成は図１の構成の一部を変更したものであり、同様の構成要素については同じ符号を付して説明を簡略する。なお、発電機やスタータモータの図示は省略している。

また本実施形態では、定電圧要求電気負荷である複数の電気負荷１６が電気負荷１６Ａと電気負荷１６Ｂとに区別されており、それら各電気負荷１６Ａ，１６Ｂに対してそれぞれリチウムイオン蓄電池１３からの給電が可能となっている。

図６に示す電池ユニットＵでは、鉛蓄電池１２とリチウムイオン蓄電池１３との間に設けられる２つのスイッチ２１，２２以外に、鉛蓄電池１２及びＭＯＳスイッチ２１の間の中間点Ｙ１と電気負荷１６Ｂとを繋ぐ電気経路に設けられたスイッチ９１と、リチウムイオン蓄電池１３及びＳＭＲスイッチ２２の間の中間点Ｙ２と電気負荷１６Ｂとを繋ぐ電気経路に設けられたスイッチ９２とを有している。各スイッチ９１，９２は、スイッチ２１，２２と同様に、制御部３０からの制御指令に応じてオンオフされる。この場合、各スイッチ２１，２２のオンオフに応じて電気負荷１６Ａに対する電力供給が制御されることに加え、各スイッチ９１，９２のオンオフに応じて電気負荷１６Ｂに対する電力供給が制御されるようになっている。なお以下の記載では、各スイッチを区別するために、スイッチ２１を「Ｐ−ＭＯＳスイッチ２１」、スイッチ２２を「Ｐ−ＳＭＲスイッチ２２」、スイッチ９１を「Ｓ−ＭＯＳスイッチ９１」、スイッチ９２を「Ｓ−ＳＭＲスイッチ９２」とも言う。

Ｓ−ＭＯＳスイッチ９１は、鉛蓄電池１２に対してＰ−ＭＯＳスイッチ２１に並列に接続され、当該Ｐ−ＭＯＳスイッチ２１を介して電力供給される電気負荷１６Ａとは異なる別の電気負荷１６Ｂに対して電力供給を可能とする第３スイッチ部に相当する。また、Ｓ−ＳＭＲスイッチ９２は、リチウムイオン蓄電池１３に対してＰ−ＳＭＲスイッチ２２に並列に接続され、当該Ｐ−ＳＭＲスイッチ２２を介して電力供給される電気負荷１６Ａとは異なる別の電気負荷１６Ｂに対して電力供給を可能とする第４スイッチ部に相当する。

制御部３０において、マイコン３１にはスイッチ２１，２２，９１，９２ごとにオンオフ制御のための制御部が設けられており、各制御部から個々のスイッチ用の制御信号が出力される。各スイッチの制御信号は、スイッチごとに設けられる図示しないスイッチ駆動回路に出力され、そのスイッチ駆動回路により各スイッチ２１，２２，９１，９２のオンオフが切り替えられる。

ここで、スイッチ２１，２２用の各制御部では、電気負荷１６Ａに対して継続的な電力供給を行うべくスイッチ２１，２２の少なくともいずれかが常にオンになるようスイッチ制御信号を出力し（これは既述のとおり）、スイッチ９１，９２用の各制御部では、電気負荷１６Ｂに対して継続的な電力供給を行うべくスイッチ９１，９２の少なくともいずれかが常にオンになるようスイッチ制御信号を出力する。換言すれば、制御態様としては、スイッチ２１，２２が同時にオフ（開状態）になる態様は存在しておらず、スイッチ９１，９２が同時にオフ（開状態）になる態様も存在していない。そのため、スイッチ２１，２２がいずれもオフの場合、又はスイッチ９１，９２がいずれもオフの場合にはマイコン３１において電源切替が不能となる異常（電源失陥異常）が生じている、とみなすことが可能となっている。

制御部３０には、マイコン３１からの各スイッチ制御信号に基づいて電源失陥の監視を行い、その監視結果に応じて所定のフェイルセーフを実施する電源失陥ＦＳ回路１００が設けられている。以下に、電源失陥ＦＳ回路１００の詳細を説明する。

電源失陥ＦＳ回路１００は、既述の電源失陥ＦＳ回路３５（図３参照）と同様にマイコン３１の外に設けられる論理回路部であり、その具体的な構成を図７に示す。図７に示すように、電源失陥ＦＳ回路１００は、Ｐ−ＭＯＳスイッチ２１及びＰ−ＳＭＲスイッチ２２の制御信号を入力するＮＯＲ回路１０１と、Ｓ−ＭＯＳスイッチ９１及びＳ−ＳＭＲスイッチ９２の制御信号を入力するＮＯＲ回路１０２と、各ＮＯＲ回路１０１，１０２の出力信号を入力するＯＲ回路１０３と、そのＯＲ回路１０３の出力側に設けられるＯＲ回路１０４と、分岐出力経路（ＭＯＳ系／ＳＭＲ系の分岐経路）の一方に設けられるＮＯＴ回路１０５ｃとを有している。これら各論理演算素子のうち、ＮＯＲ回路１０１，１０２とＯＲ回路１０３とがマイコン出力信号用の論理演算素子である。本実施形態では、二方に分岐した分岐出力経路のうち一方（ＳＭＲ系の側）にＮＯＴ回路１０５が設けられている。

上記構成の電源失陥ＦＳ回路１００では、リチウムイオン蓄電池１３において電力供給機能の停止（電源失陥）が生じていない正常状態では、Ｐ−ＭＯＳ／Ｐ−ＳＭＲの各制御信号の少なくともいずれかがハイであって、かつＳ−ＭＯＳ／Ｓ−ＳＭＲの各制御信号の少なくともいずれかがハイであり、ＮＯＲ回路１０１，１０２の出力信号が共にローとなる。この場合、Ｐ−ＭＯＳスイッチ２１及びＳ−ＭＯＳスイッチ９１への各出力信号がロー、Ｐ−ＳＭＲスイッチ２２及びＳ−ＳＭＲスイッチ９２への各出力信号がハイになる（ただし、異常判定信号＝ローの状態）。

これに対し、リチウムイオン蓄電池１３において電源失陥が生じており、Ｐ−ＭＯＳ／Ｐ−ＳＭＲの各制御信号が共にロー、又はＳ−ＭＯＳ／Ｓ−ＳＭＲの各制御信号が共にローになっていると、ＮＯＲ回路１０１，１０２の出力信号のいずれかがハイになる。この場合、Ｐ−ＭＯＳスイッチ２１及びＳ−ＭＯＳスイッチ９１への各出力信号がハイ、Ｐ−ＳＭＲスイッチ２２及びＳ−ＳＭＲスイッチ９２への各出力信号がローになる。これにより、電源失陥異常の発生時において、各ＭＯＳスイッチ２１，９１がオン、各ＳＭＲスイッチ２２，９２がオフとされる。そしてそれに伴い、リチウムイオン蓄電池１３の充放電が停止されるとともに、鉛蓄電池１２を用いての電気負荷１６Ａ，１６Ｂの駆動等が行われる（鉛蓄電池１２の充放電が許可される）。つまり、電源失陥ＦＳ回路１００によって各スイッチ２１，２２，９１，９２のフェイルセーフ駆動が実施されることとなる。

なお、電源失陥ＦＳ回路１００の出力信号がフェイル相当の信号である場合にのみスイッチ駆動回路（ゲート駆動ＩＣ）で電源失陥ＦＳ回路１００の出力が反映されるのは、既述の電源失陥ＦＳ回路３５と同様である。

上記構成によれば、スイッチ２１，２２の組み合わせ以外に、スイッチ９１，９２の組み合わせについてもスイッチ制御信号の適否を判定でき、電源失陥異常を監視する上で、構成の多様化を図ることができる。

上記図７の構成では、ＮＯＲ回路１０１，１０２の出力信号のいずれかがハイになる場合に、両方のＭＯＳスイッチ２１，９１をオンにするとともに、両方のＳＭＲスイッチ２２，９２をオフにしてフェイルセーフを実施する構成としたが、これを変更してもよい。例えば、ＮＯＲ回路１０１，１０２の出力信号のいずれかがハイになる場合に、スイッチ２１，２２の組み合わせ、及びスイッチ９１，９２の組み合わせのうち、ＮＯＲ回路の出力がハイとなる組み合わせについてのみフェイルセーフを実施する構成としてもよい。つまり、ＮＯＲ回路１０１の出力信号がハイになる場合には、スイッチ２１，２２の組み合わせについてフェイルセーフ（ＭＯＳ＝オン、ＳＭＲ＝オフ）を実施し、逆に、ＮＯＲ回路１０２の出力信号がハイになる場合には、スイッチ９１，９２の組み合わせについてフェイルセーフ（ＭＯＳ＝オン、ＳＭＲ＝オフ）を実施する。

（他の実施形態）
上記実施形態を例えば次のように変更してもよい。

・過充電ＦＳ回路３４や電源失陥ＦＳ回路３５の論理回路部を他のＥＣＵ内部に組み込んで構成することも可能である。この場合、ＥＣＵについての開発工数は増えるが、電子部品が削減できるコストメリットが得られる。

・電池制御装置として、鉛蓄電池１２とリチウムイオン蓄電池１３との両方についての安全性要求の監視を実施するものであってもよい。この場合、論理回路部は、両蓄電池の監視結果に基づき各スイッチ２１，２２に対してフェイルセーフ駆動信号を出力するものであるとよい。また、鉛蓄電池１２のみについて安全性要求の監視を実施するものであってもよい。

・上記実施形態では、第１蓄電池としての鉛蓄電池１２と第２蓄電池としてのリチウムイオン蓄電池１３とを用いる構成としたが、その蓄電池の組み合わせは任意である。例えば、両方を鉛蓄電池又はリチウムイオン蓄電池としたり、これらの各蓄電池以外の蓄電池（二次電池）を用いたり、３つ以上の蓄電池を用いたりすることも可能である。３つ以上の蓄電池を用いる場合には、その蓄電池の数に応じてスイッチ部の数（接点の数）を増やすとよい。

・上記実施形態では、ＭＯＳスイッチ２１及びＳＭＲスイッチ２２において各々２つずつのＭＯＳＦＥＴを用いたが、その数は変更可能であり、ＭＯＳＦＥＴを各々１つにしたり、ＭＯＳＦＥＴを各々３つ以上用いたりすることも可能である。この場合、電池ユニットＵにおいては、ＭＯＳＦＥＴの増設にも対応可能なように回路設計がなされているとよい。

・上記実施形態では、マイコン３１における有効判定部８２の有効判定に車速信号を用いたが、これ以外に、エンジンの回転信号やアクセル信号、ブレーキ信号等を用いることも可能であり、要は車両が動作状態であることを示す動作確認信号を用いる構成であればよい。

・安全性要求の監視項目としては、上述したリチウムイオン蓄電池１３の過充電、電源失陥以外に、リチウムイオン蓄電池１３の低ＳＯＣや過昇温が含まれていてもよい。

・上記第２実施形態のように、スイッチ２１，２２以外に別のＭＯＳスイッチ（第３スイッチ部）及びＳＭＲスイッチ（第４スイッチ部）を設ける構成において、そのＭＯＳ／ＳＭＲのスイッチ（第３，第４スイッチ部）を２系統以上で設けてもよい。例えば、定電圧要求電気負荷である複数の電気負荷１６を３系統以上に分け、個々にＭＯＳ／ＳＭＲのスイッチを設けてリチウムイオン蓄電池１３からの給電を可能にするとよい。この場合、個々に電源失陥の監視を実施するとよい。

１１…オルタネータ（充電装置）、１２…鉛蓄電池（第１蓄電池）、１３…リチウムイオン蓄電池（第２蓄電池）、１４〜１６…電気負荷、１７…給電線（配線部）、２１…ＭＯＳスイッチ（第１スイッチ部）、２２…ＳＭＲスイッチ（第２スイッチ部）、３０…制御部（電池制御装置）、３１…マイコン、３４…過充電ＦＳ回路（論理回路部）、３５…電源失陥ＦＳ回路（論理回路部）。

Claims (16)

1. 互いに並列接続される第１蓄電池（１２）及び第２蓄電池（１３）と、それら両蓄電池を電気的に接続する配線部（１７）に直列に設けられた第１スイッチ部（２１）及び第２スイッチ部（２２）とを有し、前記各スイッチ部の開閉に応じて、前記各蓄電池のいずれが充電装置（１１）からの電力供給により充電されるか、及び前記各蓄電池のいずれの蓄電電力により電気負荷（１４〜１６）が駆動されるかが切り替え可能になっている車載電源システムに適用される電池制御装置（３０）であって、
   前記各スイッチ部の駆動を制御するとともに、前記第１蓄電池及び前記第２蓄電池の少なくとも一方についてあらかじめ定められた安全性要求に関する監視を実施するマイクロコンピュータ（３１）と、
   前記マイクロコンピュータから前記監視の結果に応じた信号入力が可能であり、前記監視の結果がフェイル結果である場合に前記各スイッチ部に対して所定のフェイルセーフ駆動信号を出力する論理回路部（３４，３５，１００）と、
   を備えることを特徴とする電池制御装置。
2. 前記論理回路部は、前記マイクロコンピュータから出力される複数の論理信号を入力し、それらの入力信号を論理演算素子（３４ａ，３５ａ等）で論理演算した結果を出力するものであり、
   前記マイクロコンピュータは、前記複数の論理信号を生成し出力する複数の演算処理手段（４１，４２，５３，５６）を有しており、それら複数の演算処理手段が、互いに干渉しないよう個々に独立して演算処理を実施するものとして構成されている請求項１に記載の電池制御装置。
3. 前記マイクロコンピュータは、前記複数の演算処理手段において各個に用いられる情報を各々個別に記憶する複数の記憶部（４４，４５，５２，５５）を有しており、
   前記複数の記憶部は、互いに干渉しないよう各々独立して設けられている請求項２に記載の電池制御装置。
4. 前記第２蓄電池は、複数の電池セルを直列接続してなる組電池により構成されており、
   前記マイクロコンピュータは、前記複数の演算処理手段として、前記第２蓄電池における電池セルごとの端子電圧である単位電圧を入力し、その単位電圧に基づいて過充電判定を実施する第１判定手段（５３）と、前記第２蓄電池の総電圧を入力し、その総電圧に基づいて過充電判定を実施する第２判定手段（５６）とを有し、
   前記論理回路部は、過充電対応用の論理回路部（３４）であり、前記各判定手段からそれぞれ過充電判定の結果を示す判定信号を前記論理信号として入力し、それら各判定手段からの前記判定信号の少なくともいずれかが前記第２蓄電池で過充電が生じていることを示す論理信号である場合に、前記各スイッチ部に対して、前記第２蓄電池の充放電を停止させ、かつ前記第１蓄電池の充放電を許可することを可能とする前記フェイルセーフ駆動信号を出力する請求項２又は３に記載の電池制御装置。
5. 前記論理回路部に対して所定のテスト信号を出力するとともに、そのテスト信号を入力した結果として当該論理回路部から出力される出力信号に基づいて、その論理回路部の動作信頼性を監視する監視手段（６１）を備え、
   前記第１スイッチ部は、前記第１蓄電池での充放電を行わせるためのスイッチ部、前記第２スイッチ部は、前記第２蓄電池での充放電を行わせるためのスイッチ部であり、
   前記監視手段は、前記テスト信号として、前記過充電対応用の論理回路部に対して前記第２蓄電池で過充電が生じていることを示す過充電テスト信号を出力するとともに、当該論理回路部において前記過充電テスト信号を入力した結果として、前記第２スイッチ部への出力信号が当該第２スイッチ部を開状態にする信号になっていることを判定することで、前記過充電対応用の論理回路部における動作信頼性を監視するものである請求項４に記載の電池制御装置。
6. 充放電作動時において前記第１スイッチ部及び前記第２スイッチ部の少なくともいずれか一方を閉状態に制御するよう構成された車載電源システムであって、
   前記マイクロコンピュータは、前記複数の演算処理手段として、前記第１スイッチ部の開閉を制御する第１制御手段（４１）と、前記第２スイッチ部の開閉を制御する第２制御手段（４２）とを有し、
   前記論理回路部は、電源失陥対応用の論理回路部（３５）であり、前記各制御手段からそれぞれ各スイッチ部を制御するための制御信号を前記論理信号として入力し、それら各制御手段からの前記制御信号の両方が前記各スイッチ部をいずれも開状態にすることを示す論理信号である場合に、前記各スイッチ部に対して、前記第２蓄電池の充放電を停止させ、かつ前記第１蓄電池の充放電を許可することを可能とする前記フェイルセーフ駆動信号を出力する請求項２乃至５のいずれか１項に記載の電池制御装置。
7. 前記車載電源システムが搭載される車両について動作状態であることを示す動作確認信号を入力する信号処理部（８２）を有し、
   前記電源失陥対応用の論理回路部は、前記信号処理部に前記動作確認信号が入力されている場合に当該信号処理部から出力される有効信号により有効状態とされ、その有効状態下において前記各制御手段からの制御信号に基づいて前記各スイッチ部の開閉を切り替えるものである請求項６に記載の電池制御装置。
8. 前記信号処理部は、前記第１蓄電池の端子電圧が所定値以上である場合に、前記電源失陥対応用の論理回路部を有効状態とする論理レベルの前記有効信号を出力する請求項７に記載の電池制御装置。
9. 前記論理回路部に対して所定のテスト信号を出力するとともに、そのテスト信号を入力した結果として当該論理回路部から出力される出力信号に基づいて、その論理回路部の動作信頼性を監視する監視手段（８１）を備え、
   前記第１スイッチ部は、前記第１蓄電池での充放電を行わせるためのスイッチ部、前記第２スイッチ部は、前記第２蓄電池での充放電を行わせるためのスイッチ部であり、
   前記監視手段は、前記テスト信号として、前記電源失陥対応用の論理回路部に対して前記第２蓄電池で電源失陥が生じていることを示す電源失陥テスト信号を出力するとともに、当該論理回路部において前記電源失陥テスト信号を入力した結果として、前記第１スイッチ部への出力信号が当該第１スイッチ部を閉状態にする信号になっていることを判定することで、前記電源失陥対応用の論理回路部における動作信頼性を監視するものである請求項６乃至８のいずれか１項に記載の電池制御装置。
10. 前記第１蓄電池に対して前記第１スイッチ部に並列に接続され、当該第１スイッチ部を介して電力供給される前記電気負荷（１６Ａ）とは異なる別の電気負荷（１６Ｂ）に対して電力供給を可能とする第３スイッチ部（９１）と、
    前記第２蓄電池に対して前記第２スイッチ部に並列に接続され、当該第２スイッチ部を介して電力供給される前記電気負荷（１６Ａ）とは異なる別の電気負荷（１６Ｂ）に対して電力供給を可能とする第４スイッチ部（９２）と、
    を有する車載電源システムに適用され、
    前記論理回路部は、前記第３スイッチ部及び前記第４スイッチ部に対するスイッチ制御信号の両方が当該各スイッチ部をいずれも開状態にすることを示す論理信号である場合に、これら各スイッチ部に対して、前記第２蓄電池からの電力供給を停止させ、かつ前記第１蓄電池からの電力供給を許可することを可能とするフェイルセーフ駆動信号を出力する請求項６乃至９のいずれか１項に記載の電池制御装置。
11. 前記マイクロコンピュータに外付けされ、当該マイクロコンピュータの動作異常を監視するマイコン監視部（３３）を備え、
    前記マイコン監視部は、前記マイクロコンピュータの動作異常があると判定された場合に、前記論理回路部における前記論理演算素子の出力側に対して、前記論理回路部において前記監視結果がフェイル結果であると判断される場合と同じ論理レベルの信号を出力するものである請求項２乃至１０のいずれか１項に記載の電池制御装置。
12. 前記マイクロコンピュータと前記マイコン監視部とは、それぞれに宿題回答による相互の動作監視を行うものであり、その相互監視においては、前記論理回路部における論理演算と同様のパターンの宿題回答による動作監視が行われるようになっている請求項１１に記載の電池制御装置。
13. 前記マイクロコンピュータにおいて本電源システム内の異常の発生が把握される場合に、前記宿題回答の結果を間違えさせることにより、前記マイコン監視部から前記論理回路部における前記論理演算素子の出力側に対して、前記フェイル結果の時と同じ論理レベルの信号を出力させるようにした請求項１２に記載の電池制御装置。
14. 前記マイクロコンピュータと前記マイコン監視部とには、それぞれに相互の動作監視を可能にすべく、各々別系統から電源供給されている請求項１２又は１３に記載の電池制御装置。
15. 前記論理回路部が前記フェイルセーフ駆動信号を出力した状態における前記各スイッチ部の動作状態を確認するスイッチ動作確認手段（６５，８３）を備えている請求項１乃至１４のいずれか１項に記載の電池制御装置。
16. 前記マイクロコンピュータと前記論理回路部と前記各スイッチ部とは同一の回路基板（Ｋ）に実装されており、
    前記回路基板における電源喪失が生じた場合に、前記第１スイッチ部が閉鎖、前記第２スイッチ部が開放の状態になるように回路設計がなされている請求項１乃至１５のいずれか１項に記載の電池制御装置。

Images